Red Hat セキュリティアドバイザリ 2008:0008 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
(CVE-2007-4465)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6421)

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。(CVE-2007-6422)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2008:0006 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imap モジュールに欠陥が見つかりました。mod_imap が有効であり、 imagemap ファイルが公開されているサイトで、クロスサイトスクリプティング攻撃の実行が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスト表示が使用されているサイトでは、「AddDefaultCharset」ディレクティブが構成から削除され、RFC 2616 の規則に従った応答文字セットを正しく抽出していない Web ブラウザを対象に、クロスサイトスクリプティング攻撃が可能でした。
(CVE-2007-4465)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2008:0005 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imap モジュールに欠陥が見つかりました。mod_imap が有効であり、 imagemap ファイルが公開されているサイトで、クロスサイトスクリプティング攻撃の実行が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスト表示が使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイトでは、RFC 2616 の規則に従った応答文字セットを正しく抽出していない Web ブラウザを対象に、クロスサイトスクリプティング攻撃が可能でした。
(CVE-2007-4465)

mod_proxy モジュールに欠陥が見つかりました。リバースプロキシが構成されているサイトでは、リモートの攻撃者が注意深く作られたリクエストを送信し、そのためにそのリクエストを処理する Apache 子プロセスがクラッシュする可能性があります。ユーザーが騙されてプロキシを使用して悪意のあるサイトにアクセスした場合、フォワードプロキシが構成されているサイト上で、攻撃者が同様のクラッシュを発生させる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。(CVE-2007-3847)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

バナーによると、リモートホストにインストールされている Apache 1.3 のバージョンは 1.3.41 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - 日付関連ヘッダーを解析する際の、mod_proxy でのサービス拒否問題。（CVE-2007-3847）

mod_imap に関わるクロスサイトスクリプティング問題。
    （CVE-2007-5000）

  - mod_status での、リフレッシュパラメータに関わるクロスサイトスクリプティング問題。（CVE-2007-6388）

  - 文字セットが定義されないため、mod_proxy_ftp で UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります。（CVE-2008-0005）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-5000）

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
（CVE-2007-4465）

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6388）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6421）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-6422）

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2008-0005）

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

mod_proxy モジュールに欠陥が見つかりました。リバースプロキシが構成されているサイトでは、リモートの攻撃者が注意深く作られたリクエストを送信し、そのためにそのリクエストを処理する Apache 子プロセスがクラッシュする可能性があります。ユーザーが騙されてプロキシを使用して悪意のあるサイトにアクセスした場合、フォワードプロキシが構成されているサイト上で、攻撃者が同様のクラッシュを発生させる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-3847）

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
（CVE-2007-4465）

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-5000）

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6388）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6421）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-6422）

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2008-0005）

バナーによると、リモートホストにインストールされている Apache 2.2 のバージョンは 2.2.8 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - mod_imagemap に関わるクロスサイトスクリプティング問題（CVE-2007-5000）。

  - 不正な形式の HTTP メソッドによる 413 エラーページに関わるクロスサイトスクリプティング問題（PR 44014 / CVE-2007-6203）。

  - リフレッシュパラメーターに関わる mod_status のクロスサイトスクリプティング問題（CVE-2007-6388）。

  - バランサマネージャのワーカールートおよびワーカーリダイレクト文字列に関する mod_proxy_balancer のクロスサイトスクリプティング問題（CVE-2007-6421）。

  - mod_proxy_balancer での balancer_handler 関数のサービス拒否問題は、スレッドされた複数処理モジュールが使用されるとき、認証されたユーザーによってトリガできます（CVE-2007-6422）。

  - mod_proxy_ftp は文字セットを定義しないため、mod_proxy_ftp に、UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります（CVE-2008-0005）。

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

バナーによると、リモートホストにインストールされている Apache 2.0 のバージョンは 2.0.63 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  mod_imap に関わるクロスサイトスクリプティング問題。
    （CVE-2007-5000）

  - 不正な形式の HTTP メソッドによる 413 エラーページに関わるクロスサイトスクリプティング問題。（PR 44014 / CVE-2007-6203）

  - リフレッシュパラメータに関わる mod_status クロスサイトスクリプティング問題。（CVE-2007-6388）

  - 文字セットが定義されないため、mod_proxy_ftp で UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります。（CVE-2008-0005）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67633	Oracle Linux 5：httpd（ELSA-2008-0008）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
67632	Oracle Linux 4：httpd（ELSA-2008-0006）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
67631	Oracle Linux 3：httpd（ELSA-2008-0005）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
31408	Apache < 1.3.41 の複数の脆弱性（DoS、XSS）	Nessus	Web Servers	2008/3/7	2018/11/15	medium
43666	CentOS 5：httpd（CESA-2008:0008）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
60345	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
31118	Apache < 2.2.8 の複数の脆弱性（XSS、DoS）	Nessus	Web Servers	2008/2/20	2018/6/29	medium
31407	Apache < 2.0.63 の複数の XSS 脆弱性	Nessus	Web Servers	2008/3/7	2018/6/29	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium